Как настроить L2TP/IPsec клиент в MikroTik

L2TP/IPsec позволяет организовать удалённый доступ к корпоративной сети средствами, встроенными в Windows и MikroTik RouterOS. Сам L2TP не обеспечивает шифрование, поэтому в рассматриваемой конфигурации он используется совместно с IPsec.

Создание правил Firewall для L2TP

Начнём с правил Firewall, которые разрешат входящие подключения к VPN-серверу MikroTik.

Шаг 1. Разрешаем L2TP

Откройте IP → Firewall → Filter Rules и нажмите плюс (+), чтобы создать новое правило.

Укажите:

• Chain — input;
• Protocol — udp;
• Dst. Port — 1701;
• Action — accept.

Для удобства добавьте к правилу комментарий L2TP.

Нажмите Apply.

Чтобы не создавать следующие правила с нуля, можно использовать кнопку Copy.

Добавление правил Firewall для IPsec

Теперь разрешим трафик, необходимый для работы IPsec.

Шаг 1. Разрешаем IKE и NAT-T

Создайте правило со следующими параметрами:

• Chain — input;
• Protocol — udp;
• Dst. Port — 500,4500;
• Action — accept.

UDP 500 используется для IKE, а UDP 4500 — для IPsec NAT Traversal.

Добавьте комментарий IPSEC.

Нажмите Apply.

Шаг 2. Разрешаем ESP

Создайте ещё одно правило:

• Chain — input;
• Protocol — 50 (ipsec-esp);
• Dst. Port — не используется;
• Action — accept.

ESP используется непосредственно для передачи защищённого IPsec-трафика.

Шаг 3. Проверяем порядок правил

При необходимости включите Inline Comments, чтобы комментарии отображались непосредственно в списке правил.

VPN-правила должны находиться выше общего запрещающего правила в цепочке input. Иначе трафик будет отброшен раньше, чем дойдёт до разрешающих правил.

В результате список должен выглядеть примерно так:

Настройка L2TP/IPsec-сервера на MikroTik

После настройки Firewall включим сам L2TP-сервер.

Шаг 1. Включение L2TP Server

Откройте PPP → Interface и нажмите L2TP Server.

Шаг 2. Настройка MTU

В нашем примере используется значение MTU 1200. Уменьшение MTU может помочь при проблемах с фрагментацией, однако универсального значения для всех сетей нет.

Шаг 3. Выбор метода аутентификации

В разделе Authentication оставляем MS-CHAPv2, если именно этот метод используется вашими клиентами.

Устаревшие методы PAP, CHAP и MS-CHAPv1 без необходимости использовать не следует.

Шаг 4. Включение IPsec

Установите:

• Use IPsec — yes;
• IPsec Secret — сложный уникальный предварительно согласованный ключ.

IPsec Secret — это PSK (Pre-Shared Key), который должен совпадать на MikroTik и клиентском устройстве.

Шаг 5. Сохранение настроек

При необходимости в WinBox можно временно отключить Hide Passwords для проверки введённого значения. После настройки снова включите скрытие паролей.

Нажмите Apply.

Добавление VPN-пользователя в MikroTik

Теперь создадим учётную запись, которая будет использоваться при подключении к VPN.

Шаг 1. Создание PPP Secret

Перейдите в PPP → Secrets и нажмите плюс (+).

Укажите:

• Name — например User1;
• Password — сложный уникальный пароль;
• Service — при необходимости ограничьте учётную запись сервисом l2tp.

Шаг 2. Назначение IP-адресов

В рассматриваемом примере используются:

• Local Address — 172.16.200.1;
• Remote Address — 172.16.200.2.

Local Address — адрес MikroTik со стороны PPP-соединения, а Remote Address — адрес, который получит VPN-клиент.

Для VPN можно использовать любую подходящую частную адресацию RFC1918, например диапазоны:

• 10.0.0.0/8;
• 172.16.0.0/12;
• 192.168.0.0/16.

Для удобства можно добавить комментарий с именем сотрудника, подразделением или назначением учётной записи.

После сохранения пользователь появится в списке PPP Secrets.

Настройка L2TP/IPsec VPN в Windows

Теперь проверим сервер, подключившись к нему средствами Windows.

Шаг 1. Создание VPN-подключения

Откройте Параметры → Сеть и Интернет → VPN и выберите добавление нового VPN-подключения.

Укажите:

• Поставщик VPN — Windows (встроенные);
• Имя подключения — например L2TP-IPSEC;
• Имя или адрес сервера — внешний IP-адрес или DNS-имя MikroTik;
• Тип VPN — L2TP/IPsec с общим ключом;
• Общий ключ — тот же PSK, который задан на MikroTik;
• Тип данных для входа — имя пользователя и пароль;
• Имя пользователя — например User1;
• Пароль — пароль созданной учётной записи.

Шаг 2. Настройка split tunneling

Если через VPN необходимо направлять только трафик корпоративной сети, откройте свойства VPN-адаптера.

Откройте свойства IPv4.

Нажмите Дополнительно.

Снимите флажок Использовать основной шлюз в удалённой сети.

При включённом параметре Windows обычно использует VPN как основной маршрут. При отключённом параметре можно организовать split tunneling, когда интернет продолжает работать через локальное подключение, а корпоративные сети доступны через VPN.

Шаг 3. Подключение к VPN

Откройте список сетевых подключений, выберите созданный VPN и нажмите Подключиться.

Если параметры указаны правильно и Firewall не блокирует соединение, VPN-туннель будет установлен.

Шаг 4. Проверка подключения на MikroTik

На MikroTik откройте PPP → Active Connections.

В списке должно появиться активное подключение созданного пользователя.

Лицензирование MikroTik CHR и скорость интерфейсов

Если RouterOS работает в виртуальной машине как Cloud Hosted Router (CHR), необходимо учитывать ограничения лицензии. Они относятся именно к CHR и не означают, что обычные аппаратные маршрутизаторы MikroTik ограничены скоростью 1 Мбит/с.

Проверка лицензии

Откройте System → License.

У бесплатного уровня CHR действует ограничение скорости интерфейса. Если производительности недостаточно, необходимо выбрать подходящий лицензионный уровень CHR.

Для управления лицензией используется пункт Renew License.

После авторизации в учётной записи MikroTik можно выполнить необходимые действия с лицензией.

Настройка SOCKS-прокси на MikroTik

После подключения к VPN можно использовать встроенный SOCKS-прокси MikroTik, если требуется направлять через маршрутизатор трафик отдельного приложения, например Firefox.

Шаг 1. Включение SOCKS

Откройте IP → SOCKS.

Включите сервис и задайте необходимые параметры. В исходном примере используются:

• Connection Idle Timeout — 30s;
• Max Connections — 500;
• SOCKS Version — 5.

Эти значения являются примером и должны подбираться с учётом нагрузки на конкретный маршрутизатор.

Шаг 2. Ограничение доступа к SOCKS

Нажмите Access.

Добавьте новое правило.

В поле Src. Address укажите VPN-подсеть:

172.16.200.0/24

Таким образом, доступ к прокси будет разрешён клиентам из VPN-подсети.

Сохраните настройки.

Шаг 3. NAT для VPN-клиентов

Если VPN-клиентам требуется выход в интернет через MikroTik, настройте исходящий NAT.

Перейдите в IP → Firewall → NAT и создайте новое правило.

Для рассматриваемой схемы можно ограничить правило VPN-подсетью и WAN-интерфейсом:

• Chain — srcnat;
• Src. Address — 172.16.200.0/24;
• Out. Interface — WAN-интерфейс, например ether1.

На вкладке Action выберите masquerade.

Шаг 4. Разрешение доступа к SOCKS в Firewall

Теперь создайте правило именно в IP → Firewall → Filter Rules, а не во вкладке NAT:

• Chain — input;
• Src. Address — 172.16.200.0/24;
• Protocol — tcp;
• Dst. Port — 1080;
• In. Interface — подходящий PPP-интерфейс или interface list;
• Action — accept.

Разместите его выше общего запрещающего правила.

Шаг 5. Настройка Firefox для SOCKS

Откройте в Firefox Настройки → Параметры соединения.

Выберите Ручная настройка прокси и укажите:

• Узел SOCKS — 172.16.200.1;
• Порт — 1080;
• SOCKS — версия 5.

Адрес 172.16.200.1 в нашей конфигурации является локальным PPP-адресом MikroTik.

Параметр отправки DNS-запросов через SOCKS выбирайте в зависимости от задачи. Если запросы должны разрешаться корпоративным DNS-сервером или требуется исключить DNS-утечки, DNS также необходимо направлять соответствующим образом.

После сохранения настроек откройте необходимый ресурс и проверьте работу прокси.

Что насчёт Web Proxy MikroTik

В RouterOS также присутствует встроенный Web Proxy, однако рассматривать его как полноценную современную замену SOCKS для обычного HTTPS-трафика не стоит.

Web Proxy RouterOS ориентирован прежде всего на HTTP-прокси и связанные с ним функции. Современный HTTPS-трафик использует туннелирование через прокси и имеет ограничения, которые необходимо учитывать при проектировании такой схемы.

В старой конфигурации Firefox прокси указывался как 172.16.200.1:8080.

Часто задаваемые вопросы

Чем L2TP отличается от L2TP/IPsec?

L2TP создаёт туннель, но сам по себе не обеспечивает шифрование данных. В схеме L2TP/IPsec защита трафика обеспечивается IPsec.

Какие порты нужны для L2TP/IPsec на MikroTik?

Для типичной конфигурации используются UDP 500 для IKE, UDP 4500 для NAT-T и UDP 1701 для L2TP. Также IPsec может использовать ESP — IP-протокол 50.

Почему Windows подключается к VPN, но корпоративная сеть недоступна?

Проверьте маршруты на клиенте, адресацию VPN, Firewall MikroTik и правила доступа между VPN-подсетью и внутренней сетью. При split tunneling необходимые маршруты должны существовать отдельно.

Нужно ли устанавливать MTU 1200?

Нет. В статье это значение используется как пример конкретной конфигурации. MTU следует изменять при реальных проблемах с фрагментацией или Path MTU, а не устанавливать 1200 для всех L2TP-подключений.

Можно ли использовать один VPN-логин для нескольких сотрудников?

Лучше выдавать каждому пользователю отдельную учётную запись. Это упрощает аудит, смену паролей и отключение доступа конкретного сотрудника.

Нужно ли создавать отдельное правило masquerade для VPN?

Только если существующие правила NAT не охватывают VPN-подсеть. Перед созданием дополнительного masquerade проверьте текущие правила srcnat.

Безопасно ли открывать SOCKS-порт 1080 в интернет?

Нет. Доступ к SOCKS-прокси необходимо ограничивать доверенными адресами или VPN-подсетью. Публичный открытый прокси создаёт серьёзный риск злоупотребления.

Заключение

Мы настроили L2TP/IPsec VPN-сервер на MikroTik: добавили необходимые правила Firewall, включили L2TP и IPsec, создали VPN-пользователя и подключились к серверу средствами Windows.

Также рассмотрели split tunneling и дополнительный сценарий с SOCKS-прокси, позволяющий направлять через MikroTik трафик отдельного приложения. Для CHR отдельно важно учитывать используемый уровень лицензии и связанные с ним ограничения производительности.

Для новой инфраструктуры наряду с L2TP/IPsec стоит рассмотреть IKEv2 с аутентификацией по сертификатам: этот вариант мы подробно настроили в отдельной статье.

Вам понравилась эта статья? Тогда вам, скорее всего, будет интересна другая полезная статья Как установить MikroTik RouterOS на VPS сервер.